Gobierno británico: 100 vulnerabilidades en código open-source

Un investigador de seguridad británico encontró más de 100 fallos graves en código públicamente disponible del gobierno del Reino Unido, incluyendo credenciales que habrían dado acceso de lectura y escritura a todos los sitios de SharePoint y cuentas OneDrive privadas de empleados, lo que él llamó "acceso nivel Dios". El descubrimiento reavivó el debate sobre la publicación de código open-source en el sector público y el papel de la inteligencia artificial en el análisis automatizado de vulnerabilidades.

Chris Nesbitt-Smith, investigador de ControlPlane, analizó 349 repositorios de código publicados por 33 organizaciones del sector público británico, incluyendo el Departamento de Salud y Bienestar Social, el Home Office y autoridades locales. Usando versiones de nivel consumidor de los modelos Claude Opus y Sonnet ejecutándose en un laptop común, encontró vulnerabilidades en dos tercios de los repositorios escaneados.

El caso más grave

El problema más serio involucraba al Planning Inspectorate, la agencia responsable de asuntos de uso de suelo en toda Inglaterra. La agencia había publicado accidentalmente credenciales de Microsoft Entra ID en un repositorio público de GitHub. Según Nesbitt-Smith, las credenciales nunca fueron completamente eliminadas y, combinadas con el hecho de que aparentemente no expiraban, daban acceso total —lectura y escritura— a todos los sitios de SharePoint y cuentas OneDrive privadas de empleados, incluyendo registros de recursos humanos y materiales sensibles mantenidos bajo retención legal para investigaciones de planificación y apelaciones administrativas.

"La opción de hacer ransomware de los datos, cifrar todo o simplemente robar todos los datos, estaba ampliamente disponible", dijo Nesbitt-Smith a WIRED. "Nada de esto tiene el nivel de sofisticación que los medios generales se preocupan en relación a ciberataques. Es todo cosa bobo."

El Planning Inspectorate respondió a WIRED que sus herramientas de monitoreo detectaron la actividad de Nesbitt-Smith en agosto y ya estaban tratando del incidente. La vulnerabilidad fue corregida en 20 minutos tras el informe, y la agencia verificó que no ocurrió ninguna filtración de datos.

Qué más fue expuesto

Además del caso del Planning Inspectorate, el investigador encontró fallos en servicios del Departamento de Educación, incluyendo un sistema de compras utilizado por escuelas, un servicio de aplicación para profesores que contenía información personal, calificaciones, historial de empleo y documentos de identidad, y el registro principal de Inglaterra de proveedores de formación financiados por el gobierno y aprendizados. Un portal de datos abiertos del Gobierno Escocés permitía que cualquier visitante leyera información de cuentas administrativas y cambiara la configuración del sitio.

La mayoría de los problemas podrían haber sido detectados por una verificación de salud de TI rutinaria, según el propio investigador. Lo que cambió fue la capacidad de la IA de barrer grandes volúmenes de código de forma sistemática, identificando patrones de error que pasarían desapercibidos en auditorías manuales.

El debate sobre código abierto en el sector público

El caso reaviva una discusión que viene ganando fuerza en los últimos meses: el gobierno británico publica públicamente el código que produce con dinero público desde hace cerca de una década, en nombre de la transparencia y la eficiencia de costos. Pero ahora, con la IA acelerando el descubrimiento de vulnerabilidades, algunos argumentan que el sector público debería dejar de publicar código fuente.

El NHS (Servicio Nacional de Salud británico) habría ordenado que equipos de tecnología migraran a soluciones propietarias en mayo, debido a preocupaciones de seguridad relacionadas con el impacto de los modelos de IA. Pero Nesbitt-Smith considera que cerrar los repositorios sin corregir los problemas subyacentes sería el "peor escenario": impediría que investigadores amigables encontraran las vulnerabilidades, mientras adversarios ya podrían haber especulado los repositorios y mantenido acceso.

"Si no vas a corregir todos los problemas, probablemente estás atrayendo más atención al cerrarlos", argumentó. "Es como decir 'aquí hay dragones. No miren aquí, por favor.'"

Amanda Brock, directora ejecutiva de la organización sin fines de lucro OpenUK, dijo que el caso del Planning Inspectorate "no se trata de código abierto, sino de organización interna al usar herramientas públicas". "Los datos fueron expuestos porque hubo una falla en seguir un buen proceso. Esto no es un problema de seguridad de código abierto."

El papel de la IA en la seguridad

El caso ilustra un punto creciente: modelos de IA accesibles están democratizando el análisis de vulnerabilidades. Cualquiera con un laptop y acceso a modelos consumer-grade puede barrer repositorios públicos y encontrar errores que antes exigirían equipos dedicados de auditoría. Para bien y para mal.

La pregunta es si el gobierno británico —y los gobiernos de otros países— estarán preparados para responder con la misma velocidad que la herramienta que revela los errores.

Fuentes: WIRED, ATLABYTE, AI Parabellum

✓ Fuentes independientes cruzadas y verificadas antes de la publicación